要約

  • S3 Object Lockが保護する単位はオブジェクトの版だ。Governanceではs3:BypassGovernanceRetentionを持つ主体が明示的な迂回要求を出せる。AWSコンソールは権限者の操作に必要なヘッダーを自動で付ける。
  • Complianceでは保管期間中、rootユーザーも期限を短くしたり保護版を消したりできない。リーガルホールドは独立して残る。

保管日の横に権限表を置く

「削除不可」の報告書には保管期限のスクリーンショットが添えられる。Governanceモードなら、一般の利用者が版を削除したり期限を早めたりすることは確かに止まる。ただしs3:BypassGovernanceRetentionを割り当てられた主体には別の道がある。APIでは迂回を明示する必要があるが、AWSによるとコンソールは権限を持つ利用者の要求にその指定を自動で加える。特別な権限が、普段の管理画面で働く。

ここで「ファイルがない」という観察も慎重に扱う。同じキーへ再アップロードすれば新しい版ができ、削除マーカーによって現在の一覧からキーが消えても、保護された旧版は残る。監査が見るべきものはキーの表示だけではない。版ID、モード、期限、迂回権限を持つ主体を一緒に照合する。

Complianceモードなら期間内の近道はなく、AWSはrootユーザーも保護版を削除できないとする。リーガルホールドは保管モードと別の制御で、Governanceの迂回を行っても解除されない。解除できるのはs3:PutObjectLegalHoldを持つ主体だ。さらに暗号鍵を失えば、残した版を読めなくなる可能性がある。消せるか、保全を外せるか、読めるかは別々の権限問題である。

Governanceの柔軟性は誤保存を直したい運用には価値がある。その価値と引き換えに、保管の約束には人為的な出口が付く。購入側は「Object Lockあり」で話を終えず、誰が迂回できるのかを名簿にして契約判断に入れるべきだ。

出典